SICHER o INFORMIERT
Der Newsletter von www.buerger-cert.de
Ausgabe vom 06.06.2013
Nummer: NL-T13/0012

Die Themen dieses Newsletters:
1. Phishing-Mails werden persönlich: Online-Bezahlsystem
2. Trojaner täuscht Fehlüberweisung vor: Betrugsversuch
3. Gefälschte Dropbox-Einladungen verlinken auf Medikamenten-Webseite: Spam
4. BSI für Bürger gibt Tipps zum Umgang mit eingebetten Systemen: Internet der Dinge
5. Anmelden kinderleicht, Account löschen schwierig: Online-Profile
6. Telekom stellt Softwareupdate für WLAN-Router zur Verfügung: Sicherheitslücke
7. Fast jeder vierte deutsche PC ist infiziert: Malware-Statistik
8. Deutsche wissen wenig über Sicherheit: Studie zum Online-Shopping
9. BSI auf Platz 17 im IT-Bereich: Beliebte Arbeitgeber

EDITORIAL
Guten Tag,
wissen Sie, mit wem Ihr Fernseher, Ihre Heizungsanlage und Ihre
Waschmaschine kommunizieren? Auch wer sich in Sachen Internetsicherheit
bestens auskennt, könnte bald vor neue Aufgaben gestellt werden, denn das
so genannte Internet der Dinge hält Einzug in Privathaushalte. Das BSI
erklärt, was es mit den eingebetteten Systemen auf sich hat und wie Sie
hier für mehr Sicherheit sorgen können.
Doch auch bei den „Klassikern“ unter den Online-Gefahren wie
Phishing-Angiffen heißt es weiterhin: skeptisch sein. Dass
Cyber-Kriminelle immer aufwendiger und professioneller Vorgehen ist
mittlerweile bekannt. Aktuell lassen sich wieder Betrugsversuche beim
Online-Banking bzw. bei einem Online-Bezahldienst beobachten, die sich
nur mit Mühe als Fälschungen erkennen lassen.

Dies und weitere Meldungen rund um die Sicherheit im WWW finden Sie wie
immer in unserem Newsletter. Spannende Lektüre und sichere Stunden im
globalen Netz wünscht Ihnen
Ihr BUERGER-CERT-Team

STÖRENFRIEDE
1. Phishing-Mails werden persönlich: Online-Bezahlsystem

PayPal-Kunden sollten im Moment genauer hinsehen, wenn sie Nachrichten
von dem Online-Bezahldienst erhalten: Cyber-Kriminelle verschicken
derzeit vermeintliche PayPal-E-Mails, die nur schwer als Fälschungen zu
erkennen sind. Die Betrüger verwenden persönliche Anreden und zum Teil
sogar eine postalische Anschrift der Empfänger, berichtet
Heise Security http://www.heise.de/security/meldung/Besonders-tueckisches-PayPal-Phishing-1874729.html.
Die Anrede finde sich auch auf der Phishing-Webseite wieder, die der
Mailempfänger besuchen soll, um sein angeblich missbrauchtes Konto zu
verifizieren. Dazu fragt die Webseite persönliche und Kreditkartendaten
ab – einschließlich des Kreditkartenlimits. Einige der Phishing-Versuche
laufen über eine .de-Domain, die von den Angreifern eigens für diesen
Zweck registriert wurde.
Kunden von Online-Bezahldiensten sollten skeptisch sein, wenn sie per
E-Mail nach persönlichen Daten gefragt werden – dahinter steckt in aller
Regel ein Betrugsversuch. Nur wenn der Nutzer im Rahmen eines
Bezahlvorgangs auf die Webseite des Anbieters (in diesem Fall:
paypal.com) geleitet wird, sollte er sich dort anmelden und die
Transaktion bestätigen – verschlüsselte Übertragung mit https und
gültiges Sicherheitszertifikat vorausgesetzt.

2. Trojaner täuscht Fehlüberweisung vor: Betrugsversuch

Ein in Hannover aufgetauchter Trojaner namens „Matsnu.J“ zeigt einmal
mehr, wie raffiniert Kriminelle vorgehen, um Online-Banking-Nutzer um
Geld zu erleichtern. Grundsätzlich handelt es sich bei Matsnu um einen
seit Ende 2011 bzw. Anfang 2012 im Umlauf befindlichen Backdoor-Trojaner,
der Kriminellen den Zugriff auf den infizierten Rechner ermöglicht. Über
diese Backdoor laden die Kriminellen häufig Banking-Trojaner wie
URLZone/Bebloh, Citadel und Cridex oder weitere Schadprogramme nach. Im
aktuellen Fall gelang es den Angreifern, sich in eine laufende
Online-Banking-Sitzung einzuklinken und die Ansicht der Kontobewegungen
zu manipulieren, berichtet die Hannoversche Allgemeine
Zeitung http://www.haz.de/Hannover/Aus-der-Stadt/Uebersicht/Internetkriminelle-haben-Sparkassen-Kunden-im-Visier.
Auf der manipulierten Seite tauchte demnach eine Meldung auf, dass
fälschlicherweise 9900 Euro auf das Konto des Kunden überwiesen worden
seien und er diesen Betrag doch bitte zurück überweisen solle. Da
tatsächlich ein entsprechender Betrag in seinen Kontobewegungen durch den
Banking-Trojaner angezeigt wurde, ließ sich der Kunde dazu verleiten, die
Überweisung vorzunehmen und hatte Glück im Unglück: Für
Online-Überweisungen hatte er ein Limit von 5000 EUR bei der Bank
eingerichtet, sodass die Überweisung nicht vollzogen wurde. Eine
telefonische Rücksprache mit der Bank ergab dann, dass es sich um einen
Betrugsversuch handelte.
Ob noch andere Nutzer von diesem Trojaner betroffen sind, ist noch nicht
geklärt. Das BSI verweist noch einmal auf seine Tipps zum
sicheren
Online-Banking [https://www.bsi-fuer-buerger.de/BSIFB/DE/SicherheitImNetz/OnlineBanking/onlinebanking_node.html].
Kunden sollten bei einer möglichen Fehlbuchung mit ihrer Bank Rücksprache
halten oder die Kontobewegungen am Kontoauszugsdrucker verifizieren.

3. Gefälschte Dropbox-Einladungen verlinken auf Medikamenten-Webseite: Spam

Eine Spam-Kampagne macht sich derzeit die Beliebtheit des
Online-Speicherdienstes Dropbox zu nutze. Dem Research Team des deutschen
E-Mail-Sicherheitsdienstleisters
Eleven http://www.eleven-securityblog.de/2013/05/falsche-dropbox-einladungen-fuhren-zu-viagra-websites/
fielen Ende Mai zahlreiche Mails auf, die eine vermeintliche Einladung zu
Dropbox enthielten – in Wirklichkeit aber auf eine Webseite verlinkten,
die Medikamente vertreibt.

Dropbox ist eine der beliebtesten Anwendungen im Internet. Mit dem Dienst
lassen sich Dokumente online speichern, so dass man von beliebigen
Geräten darauf zugreifen sowie die Daten für andere Nutzer freigeben
kann. Wer erfolgreich einen neuen Nutzer zur Registrierung bei Dropbox
animiert, bekommt von dem Dienst zusätzlichen Speicherplatz zur Verfügung
gestellt. Hier setzt die aktuelle Spamwelle an, indem sie gefälschte
Einladungen zu Dropbox versendet. Die E-Mails seien in englischer Sprache
verfasst, so Eleven, und die Betreffzeile laute: Vorname Name invited you
to Dropbox. Die Namen in den Betreffzeilen wechseln, es handelt sich aber
hauptsächlich um Namen aus dem englischen bzw. US-amerikanischen Raum.

SCHUTZMASSNAHMEN
4. BSI für Bürger gibt Tipps zum Umgang mit eingebetten Systemen: Internet der Dinge

Derzeit häufen sich in den Medien Berichte über sogenannte Embedded
Devices (eingebettete Systeme), die sich über das Internet relativ
einfach von Dritten übernehmen und fremd steuern lassen – wenn sie nicht
ausreichend abgesichert sind. Diese für den Anwender häufig unsichtbaren
Systeme werden (neben dem Einsatz in Unternehmen) auch in vielen privaten
Bereichen wie z.B. der Haushalts- und Unterhaltungselektronik sowie
Heizungsanlagen, Waschmaschinen, Fernsehern, DVD-Playern, Mobiltelefonen
oder Autos eingesetzt. Insbesondere, wenn solche Komponenten direkt mit
dem Internet verbunden sind – zum Beispiel, um darauf über das eigene
Smartphone zuzugreifen oder um eine Fernwartung zu ermöglichen –
resultieren daraus mitunter massive Risiken. BSI für
Bürger https://www.bsi-fuer-buerger.de/BSIFB/DE/Wissenswertes_Hilfreiches/Service/Aktuell/Meldungen/Internetverbundene_Systeme_20130531.html
gibt Verbrauchern Tipps für den sicheren Umgang mit eingebetteten
Systemen. Unter anderem sollten sich Nutzer regelmäßig beim Hersteller
über Firmware-Updates und Sicherheitshinweise informieren, nicht
benötigte Dienste deaktivieren und die Einstellungen ihres DSL-Routers
überprüfen.

5. Anmelden kinderleicht, Account löschen schwierig: Online-Profile

Der Verbraucherzentrale Bundesverband
(zbv) http://www.vzbv.de/11693.htm hat sich in einer aktuellen
Untersuchung mit dem Löschen von Nutzerdaten auf Online-Plattformen
beschäftigt. Das Ergebnis: Ein Profil auf Plattformen wie Facebook, Yahoo
oder Amazon zu erstellen ist kinderleicht. Das Löschen der eigenen Daten
hingegen ist auf vielen Plattformen schwierig bis unmöglich. Seit dem
letzten Check im Jahr 2011 habe es kaum eine Verbesserung gegeben, so der
vzbv.

Nur acht von 19 aktuell untersuchten Plattformen bieten die
Löschmöglichkeit demnach dort an, wo die meisten Nutzer sie erwarten: in
den Kontoeinstellungen oder Profilinformationen. Bei sieben weiteren
Seiten finden Verbraucher nur über die „Hilfe“-Funktion heraus, wie sie
ihr Profil entfernen können. Bei vier Online-Profilen ist das Löschen
überhaupt nicht möglich. Das Löschen der eigenen Daten solle so einfach
wie das Anmelden sein, fordert nun der vzbv.

6. Telekom stellt Softwareupdate für WLAN-Router zur Verfügung: Sicherheitslücke

Die Deutsche
Telekom http://www.telekom.com/verantwortung/sicherheit/186696 weist
auf eine Schwachstelle in einem von ihr bereitgestellten WLAN-Router hin.
Der WLAN-Router Speedport LTE II sei intensiven Sicherheitstests
unterzogen worden, bei denen eine Schwachstelle entdeckt worden sei. Die
Schwachstelle habe keine Auswirkung auf Datenschutz und Datensicherheit
der Kunden sowie Nutzung des gebuchten Tarifs, so die Telekom. Jedoch sei
es einem Angreifer dadurch möglich, die zur Verfügung stehende Bandbreite
einzuschränken.

Damit die Schwachstelle geschlossen wird, hat die Telekom ein
Softwareupdate für den Speedport LTE II zum Download bereitgestellt und
empfiehlt allen Nutzern des Geräts das Softwareupdate umgehend
einzuspielen.

PRISMA
7. Fast jeder vierte deutsche PC ist infiziert: Malware-Statistik

Die Zahl neuer Malware-Programme nehme weiterhin stark zu, berichtet der
Antivirus-Hersteller Panda Security in seinem ersten
Quartalsbericht für
2013 http://pandalabs.pandasecurity.com/pandalabs-quarterly-report-q1-2013/.

In den ersten drei Monaten des Jahres seien weltweit über 6,5
Millionen neue Schädlinge gefunden worden. Die Rangliste der Staaten mit
den meisten infizierten Rechnern führt mit 53,4 Prozent unangefochten
China an. Deutschland liegt demnach zwar unter den Top Ten der weniger
belasteten Länder. Dennoch ist hierzulande fast jeder vierte PC (22,9
Prozent) mit Schadsoftware belastet.
Kaspersky Lab berichtet in seinem
Quartalsbericht http://newsroom.kaspersky.eu/de/texte/detail/article/infizierte-computer-haben-im-schnitt-acht-sicherheitsluecken/?no_cache=1&cHash=3b5045aed7f746c3fab52fe30b61568e,
dass jeder infizierte Rechner im Durchschnitt acht Sicherheitslücken
aufweise. Bei den Sicherheitslücken sei Oracle Java demnach weiter
führend. Kaspersky Lab habe derartige Schwachstellen auf 45,3 Prozent
aller untersuchten Computer ermitteln können, gefolgt von Adobe Flash
Player (22,8 Prozent) und Adobe Shockwave Player (18,2 Prozent).

8. Deutsche wissen wenig über Sicherheit: Studie zum Online-Shopping

Einkaufen im Internet gehört für viele Deutsche bereits zum Alltag.
Bereits 86 Prozent der Deutschen waren schon einmal im Internet shoppen.
Allerdings ist das Wissen über Sicherheit und Rechte beim digitalen
Einkauf nicht sehr ausgeprägt. Das hat jetzt eine repräsentative
Studie der Zeppelin Universität
Friedrichshafen http://www.vzbv.de/11550.htm im Auftrag des
Verbraucherzentrale Bundesverbands (vzbv) aufgedeckt.
In der Studie wussten zum Beispiel nur 73 Prozent der 1.014 Befragten,
dass eine sichere Internetverbindung durch das Kürzel „https“ und ein
geschlossenes Vorhängeschloss in der Adresszeile zu erkennen ist. Rund
jeder Fünfte (18 Prozent) meinte, dass ein aktueller Virenscanner auf dem
eigenen Rechner genüge. Immerhin ein Fünftel der Befragten (22 Prozent)
lag bei allen Fragen richtig.

9. BSI auf Platz 17 im IT-Bereich: Beliebte Arbeitgeber

Auch in 2013 zählte das BSI bei deutschen Studierenden zu den
beliebtesten Arbeitgebern in der IT-Branche. Dies ist das Ergebnis aus
Deutschlands größter Absolventenbefragung, dem trendence
Graduate
Barometer https://www.deutschlands100.de/top-arbeitgeber/ranking-it.html.
Unter mehr als 6.600 IT-Absolventen an 79 deutschen Hochschulen wurden
die beliebtesten Arbeitgeber des IT-Nachwuchses ermittelt. Das BSI liegt
demnach im Top-100-Ranking auf Platz 17. Mehr Informationen über das BSI
als Arbeitgeber finden sich auf der
BSI-Webseite https://www.bsi.bund.de/jobs




-----------------------------------------------------------------------
Dieser Newsletter "SICHER o INFORMIERT" ist ein kostenloses Service-Angebot
des Bürger-CERT, http://www.buerger-cert.de. Er erscheint im Abstand von 14
Tagen. Die Informationen werden mit größter Sorgfalt recherchiert und
aufbereitet, dennoch kann eine Gewähr oder Haftung für die Vollständigkeit
und Richtigkeit nicht übernommen werden.

Unter http://www.buerger-cert.de haben Sie die Möglichkeit, diesen
Informationsdienst zu abonnieren oder abzubestellen. Fragen und Anregungen an
die Redaktion bitte an: oeffentlichkeitsarbeit@bsi.bund.de